Bitcoin Coreの開発者たちは、ソフトウェアの脆弱性を大幅に発見しやすくする人工知能(AI)ツールの登場を受けて、セキュリティ開示ポリシーを抜本的に見直しています。改定されたフレームワークは、攻撃者がすでにAIを活用した分析によって表面化できうる欠陥のパッチ適用を加速させることを目的としており、プロジェクトのセキュリティ勧告にもその方針が反映されています。その意味するところは開発コミュニティにとどまらない:Bitcoin Coreは、トランザクションを検証しネットワークの共有ルールを強制するマシンであるBitcoinノードを運用するための最も広く使われているソフトウェアであり、そのセキュリティ慣行はエコシステム全体にとって重要です。

この変更は、開発者が修正を準備する間セキュリティ詳細を非公開とする従来の脆弱性 embargo(報道 embargo)に対する懸念の高まりを反映しています。Bitcoin CoreのコントリビューターであるAntoine Poinsot氏は、大規模言語モデルが最小限の労力で特定の弱点を発見できる状況では、情報を差し控えることによる保護効果は限定的だと説明しました。

容易に発見可能な欠陥への迅速なパッチ適用

改定されたフレームワークの下で、Bitcoin Coreは「容易に発見可能」と分類される脆弱性を優先し、メンテナンスが続けられているすべてのソフトウェアバージョンで可能な限り速やかに修正を行います。各パッチにはセキュリティ勧告が添えられ、ノード運営者が潜在的なリスクを即座に把握できるようにします。

従来、開発者は攻撃者が脆弱性を知る前にユーザーがアップグレードする時間を確保するため、公開をらせることがよくありました。しかし、AI支援によるコード分析はその手法の有効性を弱めています。攻撃者が単純なAIプロンプトだけで欠陥を独自に特定できるなら、その存在を非公開にしても実質的な保護にはほとんどならない可能性があります。したがって、改定された戦略は長期的な秘密保持よりも迅速な修正を重視し、Bitcoinノードが容易に発見可能な弱点にさらされる期間を短縮できる可能性があります。

既存の開示ルールは維持

容易に発見できない脆弱性については、引き続きBitcoin Coreの既存の開示スケジュールが適用されます。このフレームワークは、個々のノードおよびBitcoinネットワーク全体への潜在的影響に応じてセキュリティ問題を分類しています。

低深刻度の脆弱性は一般に、修正を含む主要なソフトウェアリリースから2週間後に公開されます。中深刻度および高深刻度の脆弱性は、対象ソフトウェアバージョンの廃止に紐付いたより長い開示スケジュールに従います。重要度が極めて高い脆弱性は、専門的な対応が必要となる可能性があるため、標準フレームワークの対象外であり、Bitcoinの通貨ルールやトランザクションの完全性を含むネットワークセキュリティを脅かしうるものです。

AIセキュリティ研究が新たな課題を創出

今回のポリシー変更は、暗号資産インフラ全体でAIを活用した脆弱性検出が勢いを増す中で行われました。8月には、AI生成のセキュリティレポートが実際のソフトウェア脆弱性を明らかにしたことを受け、Core Lightningの開発者がノード運営者に警告を発しました。CoinDeskの報道によると、開発者は影響を受ける運営者向けのパッチを準備する間、技術的詳細を一時的に非公開としました。この事例は、AIツールが脆弱性発見を加速させると同時に、開発チームへの圧力を高めうることを示しました。

ノード運営者にとって、最新のポリシーはセキュリティアップデートを速やかに適用することの重要性を強調しています。迅速な開示は透明性を高めますが、古いソフトウェアは開発者が修正を公開した後も脆弱なままとなる可能性があります。改定されたフレームワークの下での開示が修正とともに掲載されるプロジェクトの勧告ページは、新たに明らかになった欠陥を追跡する実用的な参考情報源となります。より大きな課題は、公開されるセキュリティ情報と実効的な保護のバランスを取ることです。AIによって脆弱性発見のハードルが下がるにつれ、Bitcoin開発者たちはネットワークのレジリエンスにとって迅速なパッチ展開が不可欠であると、ますます認識するようになっています。